auth बनाएँ या ख़रीदें: वह बिल जो आपको आता दिखता नहीं

ऑथेंटिकेशन वह फ़ीचर है जिसके बारे में हर इंजीनियर को यक़ीन होता है कि वह इसे एक वीकेंड में बना सकता है, और वे सही हैं। आप रविवार रात तक एक लॉगिन फ़ॉर्म, एक यूज़र्स टेबल, और एक पासवर्ड-रीसेट ईमेल बना सकते हैं। वह वीकेंड असली है। वह वीकेंड लागत भी नहीं है। लागत वह सब कुछ है जो इसके बाद आता है, एक ऐसी समय-सारणी पर जो आप तय नहीं करते, एक ऐसे सिस्टम के लिए जिसे आप कभी बंद नहीं कर सकते।

वह हिस्सा जिसे आप काम समझते हैं

ईमेल और पासवर्ड। एक sessions टेबल। एक "पासवर्ड भूल गए" लिंक जो एक टोकन ईमेल करता है। अगर आप पूरी तरह चौकस हैं तो सोशल लॉगिन। यह सचमुच एक वीकेंड का काम है, और अगर बस इतना ही सारा काम होता, तो आपको इसे ज़रूर बनाना चाहिए। यह सारा काम नहीं है, और आप जानते हैं कि नहीं है, और इसीलिए आप इसे बनाने के बजाय एक बनाएँ-बनाम-ख़रीदें लेख पढ़ रहे हैं।

वह बिल जो आपको आता दिखता नहीं

अब आपके पास एक सुरक्षा-सतह है, हमेशा के लिए। पासवर्ड हैशिंग, और जिस दिन आपको एहसास होता है कि आपका bcrypt कॉस्ट फ़ैक्टर 2019 के हार्डवेयर के हिसाब से ट्यून किया गया था, उस दिन हर यूज़र को दोबारा हैश करना। रेट लिमिटिंग और अकाउंट लॉकआउट। क्रेडेंशियल स्टफ़िंग, क्योंकि लॉन्च के एक महीने के भीतर आपका लॉगिन एंडपॉइंट हर breach-replay सूची में शामिल हो जाता है। और सबसे बड़ी बात: देनदारी। जिस दिन आप क्रेडेंशियल स्टोर करते हैं उस दिन आप एक निशाना बन जाते हैं, और एक ब्रीच किसी और के प्राइसिंग डेक में एक अमूर्त जोखिम रहना बंद कर देता है। यह आपकी घटना है, आपका डिस्क्लोज़र ईमेल, आपके ग्राहकों का भरोसा, और संभवतः आपका रेगुलेटर।

जैसे ही आप किसी गंभीर ग्राहक को बेचते हैं, प्रोटोकॉल का काम आ टपकता है। एंटरप्राइज़ SSO का मतलब SAML है, और SAML का मतलब XML सिग्नेचर वेरिफ़िकेशन है, जो अपने आप में CVE की एक विधा है (आप वाक़ई प्रोडक्शन में signature wrapping से नहीं मिलना चाहेंगे; इस पर और यहाँ)। SCIM का मतलब है प्रोविज़निंग और डिप्रोविज़निंग दोनों बनाना, और डिप्रोविज़निंग एक सुरक्षा नियंत्रण है: इसे ग़लत कीजिए और निकाला गया कर्मचारी अपनी पहुँच बनाए रखता है। MFA का मतलब है एनरोलमेंट, रिकवरी कोड, और वह सपोर्ट क़तार जब किसी का फ़ोन खो जाता है। ऑडिट लॉग का मतलब है रिटेंशन और छेड़छाड़-प्रमाण, क्योंकि ग्राहक का SOC 2 ऑडिटर पूछेगा, और "हम कहीं किसी फ़ाइल में लॉग करते हैं" कोई जवाब नहीं है।

ऑपरेशनल पूँछ कभी ख़त्म नहीं होती। Key रोटेशन और JWKS। सेशन इनवैलिडेशन जो वाक़ई सभी डिवाइसों पर काम करे। टोकन रिवोकेशन। और ऑन-कॉल, आपके स्टैक के उस एक सिस्टम के लिए जो जब डाउन होता है तो सब कुछ अपने साथ ले डूबता है: कोई लॉग इन नहीं करता, कोई API कॉल ऑथेंटिकेट नहीं होती, आपका पूरा प्रोडक्ट एक 500 पेज बन जाता है। Auth tier zero है। आप एक tier-zero सुरक्षा सिस्टम को हमेशा के लिए चलाते रहने के लिए साइन अप कर रहे हैं, उसी हेडकाउंट के साथ जिसे आप अपने असली प्रोडक्ट पर ख़र्च करने वाले थे।

कम्प्लायंस की पूँछ सालाना है। SOC 2, ISO 27001, किसी संभावित ग्राहक की सुरक्षा प्रश्नावली: इनमें से हर एक, विस्तार से, ऊपर बताई गई हर चीज़ के बारे में पूछता है। ऑडिटर "हमने अपना ख़ुद का बनाया" से प्रभावित नहीं होते। auth ख़रीदना आपको किसी वेंडर के नियंत्रणों की ओर इशारा करने देता है; इसे ख़ुद बनाना उन नियंत्रणों को आपका बना देता है — हर साल प्रलेखित करने, साबित करने, और बचाव करने के लिए।

कब बनाना असल में सही फ़ैसला है

यह "हमेशा ख़रीदो" वाली पिच नहीं है, क्योंकि वह बेईमानी होती और आप उसे आर-पार देख लेते। अपना ख़ुद का auth तब बनाइए जब:

• यह किसी VPN के पीछे एक छोटा आंतरिक टूल है, मुट्ठी भर यूज़र, कोई कम्प्लायंस-सतह नहीं। वह वीकेंड वाक़ई पूरा का पूरा काम है।
• Auth ही आपका प्रोडक्ट है। अगर आप एक आइडेंटिटी कंपनी बना रहे हैं, तो आइडेंटिटी बनाइए। यह आपका विभेदक है, आपका ऊपरी ख़र्च नहीं।
• आपकी सचमुच असामान्य ज़रूरतें हैं जिन पर कोई प्रोवाइडर फ़िट नहीं बैठता, और एक समर्पित सुरक्षा टीम है जो नतीजे को उसके पूरे जीवनकाल तक संभालेगी। इस वाक्य के दोनों हिस्सों पर ग़ौर कीजिए। महँगा हिस्सा वह टीम है।

उन मामलों के बाहर गणित जितना दिखता है उससे ज़्यादा आसान है। "बनाने" की लागत कभी वह पहला वीकेंड थी ही नहीं। यह एक सुरक्षा-संवेदनशील सिस्टम का स्थायी स्वामित्व है जो आपके प्रोडक्ट को ज़रा भी बेहतर नहीं बनाता, बस ज़्यादा आपका बनाता है।

ईमानदार पुनर्विचार

auth बनाना आपके प्रोडक्ट को किसी एक भी ग्राहक के लिए ज़्यादा मूल्यवान नहीं बनाता। किसी ने कभी आपका सॉफ़्टवेयर इसलिए नहीं ख़रीदा क्योंकि आपने SAML सिग्नेचर जाँच ख़ुद हाथ से बनाई थी। यह बस auth को किसी और की समस्या से आपकी समस्या में बदल देता है, हमेशा के लिए, और वह इंजीनियरिंग ख़र्च कर देता है जिसे आप उस चीज़ में लगा सकते थे जिसके लिए लोग असल में पैसे देते हैं।

ख़रीदने पर सामान्य आपत्ति, कि auth वेंडर एंटरप्राइज़ फ़ीचर चालू करने के लिए मोटी रक़म वसूलते हैं, असली है। लेकिन यह इस बारे में दलील है कि कौन-सा वेंडर, न कि बनाने बनाम ख़रीदने के बारे में। उस बिल का बड़ा हिस्सा एक फ़ीचर टैक्स है जिसे चुकाने की आपको ज़रूरत नहीं। ऐसा auth ख़रीदिए जिसमें SSO, SCIM, MFA, और ऑडिट लॉग प्रति-कनेक्शन वाले टोल-बूथ के बिना शामिल हों, और बनाने-बनाम-ख़रीदने का सवाल ज़्यादातर ख़ुद ही जवाब दे देता है।

किसी लॉगिन सिस्टम पर एक स्प्रिंट ख़र्च करने से पहले, यह देख लेना सार्थक है कि एंटरप्राइज़ ग्राहक उससे असल में क्या-क्या माँगेंगे। यह रहा जो हर प्लान में शामिल है।